Platform
wordpress
Component
delete-comments-by-status
Opgelost in
2.1.2
CVE-2025-25130 beschrijft een Path Traversal kwetsbaarheid in de WordPress plugin 'Delete Comments By Status'. Deze kwetsbaarheid stelt een aanvaller in staat om toegang te krijgen tot gevoelige bestanden op de server, wat kan leiden tot data-exfiltratie of zelfs volledige controle over de website. De kwetsbaarheid treft versies van de plugin tussen 0.0.0 en 2.1.1. Een patch is beschikbaar in versie 2.1.2.
De Path Traversal kwetsbaarheid in Delete Comments By Status maakt het mogelijk voor een aanvaller om bestanden buiten de toegestane directory te benaderen. Dit kan bijvoorbeeld gebruikt worden om configuratiebestanden, database credentials of andere gevoelige informatie te stelen. Een succesvolle exploitatie kan leiden tot een compromittering van de gehele WordPress installatie en de daaraan gekoppelde data. De impact is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij de aanvaller de mogelijkheid heeft om de server te verkennen en gevoelige data te bemachtigen.
Op het moment van publicatie (2025-03-03) is er geen publieke proof-of-concept (POC) bekend. De kwetsbaarheid is opgenomen in het NVD (National Vulnerability Database). De EPSS score is nog niet bekend, maar de Path Traversal aard van de kwetsbaarheid suggereert een potentieel voor actieve exploitatie, vooral op systemen met onvoldoende beveiligingsmaatregelen.
WordPress websites using the Delete Comments By Status plugin, particularly those running older versions (0.0.0 - 2.1.1), are at risk. Shared hosting environments where file permissions are not strictly controlled are especially vulnerable.
• wordpress / composer / npm:
grep -r "../" /var/www/html/wp-content/plugins/delete-comments-by-status/*• generic web:
curl -I http://your-wordpress-site.com/wp-content/plugins/delete-comments-by-status/../../../../etc/passwddisclosure
Exploit Status
EPSS
0.19% (41% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2025-25130 is het updaten van de 'Delete Comments By Status' plugin naar versie 2.1.2 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegangsrechten tot de plugin directory via de webserver configuratie (bijvoorbeeld Apache .htaccess of Nginx config). Controleer ook de WordPress installatie op verdachte bestanden of wijzigingen die kunnen wijzen op een inbreuk. Na de upgrade, verifieer de fix door te proberen toegang te krijgen tot een bestand buiten de toegestane directory via de plugin interface; dit zou moeten mislukken.
Actualice el plugin Delete Comments By Status a la última versión disponible para mitigar la vulnerabilidad de Path Traversal. Verifique la página del plugin en wordpress.org para obtener la versión más reciente y las instrucciones de actualización. Asegúrese de realizar una copia de seguridad de su sitio web antes de actualizar cualquier plugin.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2025-25130 is a Path Traversal vulnerability affecting the Delete Comments By Status WordPress plugin, allowing attackers to read arbitrary files.
You are affected if you are using Delete Comments By Status versions 0.0.0 through 2.1.1. Upgrade to 2.1.2 or later to mitigate the risk.
Upgrade the Delete Comments By Status plugin to version 2.1.2 or later. Consider WAF rules as a temporary workaround if immediate upgrade is not possible.
There are currently no reports of active exploitation, but the vulnerability is publicly known and poses a significant risk.
Check the Delete Comments By Status plugin page on WordPress.org for updates and security advisories.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.